Cambiar las claves y salts de WordPress de forma automática (y cuándo hacerlo a mano)

En tu wp-config.php hay ocho líneas que casi nadie mira:

define( 'AUTH_KEY',         '...' );
define( 'SECURE_AUTH_KEY',  '...' );
define( 'LOGGED_IN_KEY',    '...' );
define( 'NONCE_KEY',        '...' );
define( 'AUTH_SALT',        '...' );
define( 'SECURE_AUTH_SALT', '...' );
define( 'LOGGED_IN_SALT',   '...' );
define( 'NONCE_SALT',       '...' );

Son las claves y salts: cadenas aleatorias que WordPress usa para firmar las cookies de sesión y los nonces. Si cambian, todas las cookies existentes dejan de ser válidas y todo el mundo tiene que volver a entrar.

Cuándo cambiarlas de inmediato

• Después de un hackeo o si sospechas que alguien entró a tu sitio.
• Cuando una persona con acceso de administrador deja de trabajar contigo.
• Si alguien pudo haber visto tu wp-config.php (lo compartiste por error, apareció en un respaldo público).
• Si sospechas de un robo de sesión (cookies robadas por un malware en un computador).

Cambiar las claves no cambia las contraseñas. Si sospechas de un acceso, cambia también las contraseñas de los administradores y revisa las contraseñas de aplicación.

Cómo cambiarlas

Con WP-CLI (lo más rápido)

wp config shuffle-salts

Genera ocho valores nuevos y los escribe en wp-config.php. Al recargar, verás la pantalla de acceso.

A mano

1. Abre https://api.wordpress.org/secret-key/1.1/salt/ en el navegador: te genera ocho líneas nuevas cada vez que recargas.
2. Edita wp-config.php (por el Administrador de archivos de cPanel o por FTP) y reemplaza las ocho líneas.
3. Guarda.

Programarlo cada mes

Cambiar las claves periódicamente limita cuánto dura una cookie robada. El costo es que todos los usuarios tienen que volver a iniciar sesión, así que elige un horario de poco movimiento (por ejemplo, el día 1 de cada mes a las 4 de la mañana).

En cPanel

En Trabajos de cron, agrega una tarea con este comando (ajusta la ruta a tu sitio):

cd /home/tuusuario/public_html && /usr/local/bin/wp config shuffle-salts --quiet

Y la programación 0 4 1 * * (minuto 0, hora 4, día 1, todos los meses).

La ruta de wp cambia según el hosting. Pregúntale a tu proveedor o prueba which wp en la Terminal de cPanel. Si tu hosting no tiene WP-CLI, usa la opción manual o pide que lo instalen.

En un VPS

Con el usuario dueño de los archivos del sitio (no como root):

crontab -e

Y agrega:

0 4 1 * * cd /var/www/tudominio.cl && wp config shuffle-salts --quiet

¿Y en una tienda WooCommerce?

Cambiar las claves también cierra la sesión de los clientes, pero no vacía sus carritos guardados ni afecta a los pedidos. Aun así, evita hacerlo en horarios de venta o durante una campaña.

Comprobar que funcionó

1. Antes del cambio, abre el sitio en otro navegador con una sesión iniciada.
2. Ejecuta el cambio.
3. Recarga ese otro navegador: debería pedirte entrar de nuevo.

¿Tu hosting no permite ejecutar WP-CLI desde el cron? Cuéntanos en el foro cuál usas y buscamos una alternativa.